# OpenVPNが急に繋がらなくなった！ お疲れ様です。チーム:thonk_spin.ex-large.rotate.parrot:の高山です。 OpenVPNが急に繋がらなくなった！の解答を送らせていただきます。 ## 原因特定 サーバー側にログインし、`/var/log/openvpn/openvpn.log`を見たところ、 ``` Sat Aug 31 13:12:52 2019 192.168.200.20:40640 TLS: Initial packet from [AF_INET]192.168.200.20:40640, sid=358f920f 0e04a4d4 Sat Aug 31 13:12:52 2019 192.168.200.20:40640 VERIFY OK: depth=1, CN=Easy-RSA CA Sat Aug 31 13:12:52 2019 192.168.200.20:40640 VERIFY ERROR: depth=0, error=certificate has expired: CN=vyos-client Sat Aug 31 13:12:52 2019 192.168.200.20:40640 OpenSSL: error:1417C086:SSL routines:tls_process_client_certificate:certificate verify failed Sat Aug 31 13:12:52 2019 192.168.200.20:40640 TLS_ERROR: BIO read tls_read_plaintext error Sat Aug 31 13:12:52 2019 192.168.200.20:40640 TLS Error: TLS object -> incoming plaintext read error Sat Aug 31 13:12:52 2019 192.168.200.20:40640 TLS Error: TLS handshake failed Sat Aug 31 13:12:52 2019 192.168.200.20:40640 SIGUSR1[soft,tls-error] received, client-instance restarting ``` というエラーログが繰り返されていることを確認しました。 `VERIFY ERROR: depth=0, error=certificate has expired: CN=vyos-client`という記述から、クライアント側の公開鍵証明書の期限が切れたために接続が拒否されていることが原因であると特定しました。 ## 問題解決 サーバー側にはEasy RSAがインストールされていますので、 ``` $ pushd /easy-rsa-3.0.6/easyrsa3 $ ./easyrsa gen-req vyos-client2 nopass (Common Nameの入力を求められたが、vyos-clientとした) $ ./easyrsa sign-req client vyos-client2 $ scp pki/issued/vyos-client2.crt admin@192.168.0.20:~/ $ scp pki/private/vyos-client2.key admin@192.168.0.20:~/ $ popd ``` というコマンドで、クライアント側の公開鍵証明書と秘密鍵を生成し、クライアント側にコピーしました。 次に、クライアント側にログインし、`show configure`で設定を見ると、以下の記述を確認しました。 ``` openvpn vtun0 { encryption aes256 hash sha256 mode client openvpn-option "--tls-auth /config/auth/ta.key 1" remote-host 192.168.200.10 tls { ca-cert-file /config/auth/ca.crt cert-file /config/auth/vyos-client.crt key-file /config/auth/vyos-client.key } } ``` よって、記述に従って、サーバー側からコピーした公開鍵証明書と秘密鍵を適切なパスに配置しました。 ``` $ sudo cp vyos-client2.crt /config/auth/vyos-client.crt $ sudo cp vyos-client2.key /config/auth/vyos-client.key $ rm vyos-client2.crt vyos-client2.key ``` そして、少々待つと以下のように`172.25.0.1/32`に対して疎通が取れるようになり、問題が解決しました。 ``` $ ping 172.25.0.1 PING 172.25.0.1 (172.25.0.1) 56(84) bytes of data. 64 bytes from 172.25.0.1: icmp_req=1 ttl=64 time=0.738 ms 64 bytes from 172.25.0.1: icmp_req=2 ttl=64 time=0.768 ms 64 bytes from 172.25.0.1: icmp_req=3 ttl=64 time=1.03 ms 64 bytes from 172.25.0.1: icmp_req=4 ttl=64 time=0.781 ms ^C --- 172.25.0.1 ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 2999ms rtt min/avg/max/mdev = 0.738/0.829/1.031/0.120 ms ```